[Windows内核分析]KPCR结构体介绍 (CPU控制区 Processor Control Region)
Windows内核分析索引目录:https://www.cnblogs.com/onetrainee/p/11675224.html
逆向分析操作系统内核代码至少需要具备两项技能:
- 段页汇编代码非常懂。
- 至少掌握三个结构体:EPROCESS、ETHRAEAD、KPCR(注意:EPROCESS、ETHREAD是在R0,在R3的是PEB与TEB。)
一、KPCR结构体介绍
- 当线程进入0环时,FS:[0]指向KPCR(3环时 FS:[0] --> TEB,如果想了解这个信息,可以看这篇博客利用C++实现模块隐藏(R3层断链))
- 每个CPU都有一个KPCR结构体(一个内核一个)
- KPCR中存储了CPU本身要用的一些重要数据:GDT、IDT以及线程相关的一些信息。
二、KPCR结构体成员详解
使用windbg的 kd _KPCR 命令来查看该结构体成员。
kd > dt _KPCR
ntdll!_KPCR
+ 0x000 NtTib : _NT_TIB // 保存CPU常用的信息(比如异常处理函数链表、栈大小空间限制)
+ 0x01c SelfPcr : Ptr32 _KPCR // 指向自身,类似C++的this指针一样,方便编程。
+ 0x020 Prcb : Ptr32 _KPRCB // 指向 + 0x120 PrcbData : _KPRCB 结构体,该结构体为_KPCR的拓展,这么做(而不是使用偏移)是为了当其地址改变时也能正确找到。
+ 0x024 Irql : UChar
+ 0x028 IRR : Uint4B
+ 0x02c IrrActive : Uint4B
+ 0x030 IDR : Uint4B
+ 0x034 KdVersionBlock : Ptr32 Void
+ 0x038 IDT : Ptr32 _KIDTENTRY //IDT表 一个CPU一套
+ 0x03c GDT : Ptr32 _KGDTENTRY // GDT表 一个CPU一套
+ 0x040 TSS : Ptr32 _KTSS // TSS表 一个CPU一套
+ 0x044 MajorVersion : Uint2B
+ 0x046 MinorVersion : Uint2B
+ 0x048 SetMember : Uint4B
+ 0x04c StallScaleFactor : Uint4B
+ 0x050 SpareUnused : UChar
+ 0x051 Number : UChar // 当前CPU的编号
+ 0x052 Spare0 : UChar
+ 0x053 SecondLevelCacheAssociativity : UChar
+ 0x054 VdmAlert : Uint4B
+ 0x058 KernelReserved : [14] Uint4B
+ 0x090 SecondLevelCacheSize : Uint4B
+ 0x094 HalReserved : [16] Uint4B
+ 0x0d4 InterruptMode : Uint4B
+ 0x0d8 Spare1 : UChar
+ 0x0dc KernelReserved2 : [17] Uint4B
+ 0x120 PrcbData : _KPRCB // 该结构体很大,是对于_KPCR的拓展
1)_NT_TIB( + 0x000 NtTib ) 结构体介绍
kd > dt _NT_TIB
ntdll!_NT_TIB
+ 0x000 ExceptionList : Ptr32 _EXCEPTION_REGISTRATION_RECORD // 在R0环的异常处理函数链表(R3环存储的是R3环的异常处理函数链表)
+ 0x004 StackBase : Ptr32 Void // 栈基址
+ 0x008 StackLimit : Ptr32 Void // 栈大小显示
+ 0x00c SubSystemTib : Ptr32 Void
+ 0x010 FiberData : Ptr32 Void
+ 0x010 Version : Uint4B
+ 0x014 ArbitraryUserPointer : Ptr32 Void
+ 0x018 Self : Ptr32 _NT_TIB // this指针指向结构体自己
2)_KPRCB 结构体介绍 ( 位于 + 0x120 PrcbData : _KPRCB,同时 + 0x020 Prcb : Ptr32 _KPRCB 又指向)
该结构体上千字节,这里仅节选部分有用的。
kd > dt _KPRCB
ntdll!_KPRCB
+ 0x000 MinorVersion : Uint2B
+ 0x002 MajorVersion : Uint2B
+ 0x004 CurrentThread : Ptr32 _KTHREAD // 当前CPU正在跑的线程
+ 0x008 NextThread : Ptr32 _KTHREAD // 一会切换的切换的是谁
+ 0x00c IdleThread : Ptr32 _KTHREAD // 如果没有程序运行,跑的空闲线程是谁
+ 0x010 LegacyNumber : UChar
+ 0x011 NestingLevel : UChar
+ 0x012 BuildType : Uint2B
+ 0x014 CpuType : Char
最新文章
- myeclipse2015卸载、安装、破解全过程-----myeclipse2015
- 同个项目写webservice引用EF出现的问题
- barManager 挤压后“ 自动换行”和“自动隐藏”的实现方法
- javascript模板库jsrender for循环嵌套示例
- Arduino101学习笔记(八)—— 函数库
- 【转】Android 当打开“开发者模式”中的“不保留活动”后,程序应当怎么保持正常运行
- win8 IIS
- 用 C 语言编写 Windows 服务程序的五个步骤
- 《JavaScript 闯关记》之正则表达式
- javascript 命名空间,学习
- 日积月累系列之国籍控件(js源码)
- autoconf添加gcc调试选项
- NOIP2016提高组初赛(1)
- Optaplanner - 入门介绍
- 最容易理解的对卷积(convolution)的解释
- Zookeeper的作用,在Hadoop及hbase中具体作用
- JEECG中表单提交的中断
- 【GMT43液晶显示模块】发布原理图、出厂代码
- Linux中wget用法
- Miller_rabin算法+Pollard_rho算法 POJ 1811 Prime Test
热门文章
- Python学习之旅:使用Python实现Linux中的ls命令
- 网络流---最大流(Edmond-Karp算法)的学习
- Python---环境以及编辑器的使用的学习
- SpringBoot使用注解的方式构建Elasticsearch查询语句,实现多条件的复杂查询
- kubernetes部署jenkins(Docker in Docker)及认证
- win下的mongodb安装和基础操作
- Git服务端下载
- ExpandableListView之BaseExpandableListAdapter
- 连drawable目录都没搞明白就想开发APP?
- spring中集成shiro进行安全管理